കോൺഫറൻസ് DEFCON 27. നിങ്ങളുടെ കാർ എന്റെ കാറാണ്. ഭാഗം 2

കോൺഫറൻസ് DEFCON 27. നിങ്ങളുടെ കാർ എന്റെ കാറാണ്. ഭാഗം 1

വീഡിയോയുടെ അവസാനം, നിങ്ങൾ ഒരു ക്ലിക്ക് കേട്ടു - ഇത് മെക്കാനിക്കൽ സ്റ്റിയറിംഗ് വീൽ ലോക്കിന്റെ അൺലോക്കിംഗ് ആണ്, ഇത് ഇലക്ട്രോണിക്സ് ഉപയോഗിച്ച് ഞങ്ങൾക്ക് മറികടക്കാൻ കഴിയില്ല. നിങ്ങൾ മെക്കാനിക്കൽ എന്തെങ്കിലും ഉപയോഗിക്കണം, ലോക്ക് സിലിണ്ടർ കൈകൊണ്ട് തകർക്കണം അല്ലെങ്കിൽ സമാനമായ എന്തെങ്കിലും ചെയ്യണം, അത് ഞാൻ അവളുടെ കാറിൽ ചെയ്യാൻ പോകുന്നില്ല. ഈ വീഡിയോകളിൽ പ്രദർശിപ്പിച്ചിരിക്കുന്ന എല്ലാ ഫേംവെയറുകളും എന്റെ സംഭാഷണത്തിന് ശേഷം GitHub-ൽ ലഭ്യമാകും, അതിനാൽ സ്ലൈഡിലെ URL-ലേക്ക് പോയി OpenRemoteStart ഫയൽ ഡൗൺലോഡ് ചെയ്യുക.

ഈ സിസ്റ്റത്തിലേക്ക് ഇന്റർനെറ്റ് ചേർക്കുമ്പോൾ കൃത്യമായി എന്താണ് സംഭവിക്കുന്നതെന്ന് നമുക്ക് സംസാരിക്കാം, കാരണം അത് നമുക്ക് നല്ലതായിരിക്കണം, അല്ലേ? ഞാൻ പറഞ്ഞതുപോലെ, ഞാൻ MyCar എന്ന റിമോട്ട് അലാറം കൺട്രോൾ മൊഡ്യൂൾ വാങ്ങി. ഇത് വിവിധ പരിഷ്ക്കരണങ്ങളിൽ വരുന്നു, എനിക്ക് Linkr LT-1 മോഡൽ ഉണ്ടായിരുന്നു.

MyCar ഒരു ബ്രാൻഡ് മാത്രമാണ്, അത്തരം മൊഡ്യൂളുകൾ Linkr LT-1, MyCar KIA, Visions MyCar, Carlink (CL6) തുടങ്ങിയ പേരുകളിൽ വിൽക്കുന്നു. കുറച്ചുകാലമായി, കാനഡയിലെ KIA ഡീലർഷിപ്പുകൾ അവരുടെ കാറുകളിൽ ഈ സിസ്റ്റം അല്ലെങ്കിൽ കുറഞ്ഞത് MyCar KIA എന്ന ആപ്പ് ഇൻസ്റ്റാൾ ചെയ്യുന്നുണ്ട്. രസകരമെന്നു പറയട്ടെ, AppStore-ൽ ഡൗൺലോഡ് ചെയ്യാൻ ഈ ആപ്പ് ഇനി ലഭ്യമല്ല. ഞാൻ ഫോർട്ടിൻ, മൈകാർ ഉൽപ്പന്നങ്ങൾ തിരഞ്ഞെടുത്തുവെന്നതും ഞാൻ ശ്രദ്ധിക്കാൻ ആഗ്രഹിക്കുന്നു, എന്നാൽ ഫ്രീലാൻസ് കാർ അലാറങ്ങളുടെ തീമാറ്റിക് ഫോറങ്ങളെക്കുറിച്ചുള്ള ഉപയോക്തൃ അവലോകനങ്ങൾ അനുസരിച്ച്, മറ്റ് സിസ്റ്റങ്ങൾ മികച്ച രീതിയിൽ പ്രവർത്തിക്കുന്നില്ല, സമാനമായ പ്രശ്നങ്ങളുണ്ട്.

എനിക്ക് ഒരു പ്രധാന ചോദ്യമുണ്ട്: സുരക്ഷാ പ്രശ്‌നങ്ങളുള്ള, ആരും ശ്രദ്ധിക്കാത്ത ഒരു ഉൽപ്പന്നം ആഫ്റ്റർ മാർക്കറ്റ് കാർ അലാറം മാർക്കറ്റ് വിൽക്കുന്നത് എന്തുകൊണ്ട്? അതിനാൽ, നിങ്ങളിൽ ആർക്കെങ്കിലും റിമോട്ട് സ്റ്റാർട്ടർ സിസ്റ്റങ്ങളിൽ താൽപ്പര്യമുണ്ടെങ്കിൽ, പ്രധാനപ്പെട്ട രണ്ട് സാഹചര്യങ്ങൾ ശ്രദ്ധിക്കുക. ഒന്നാമതായി, ഞാൻ നേരത്തെ സൂചിപ്പിച്ചതുപോലെ, മാനുവൽ ട്രാൻസ്മിഷനുള്ള ഒരു കാറിൽ ഡിഎസ് സിസ്റ്റം ശരിയായി ഇൻസ്റ്റാൾ ചെയ്തിട്ടില്ലെങ്കിൽ, വിദൂരമായി എഞ്ചിൻ ആരംഭിച്ചതിന് ശേഷം, കുറച്ച് ഗിയർ ട്രാൻസ്മിഷനിൽ ഏർപ്പെട്ടിട്ടുണ്ടെങ്കിൽ ഡ്രൈവറില്ലാതെ കാർ ഓടിക്കാൻ സാധ്യതയുണ്ട്. . അത് ശരിക്കും അപകടകരമാണ്. രണ്ടാമത്തെ അപകടം, ഘടിപ്പിച്ചിരിക്കുന്ന ഗാരേജിൽ ആരെങ്കിലും കാർ പാർക്ക് ചെയ്‌ത് അബദ്ധവശാൽ എഞ്ചിൻ റിമോട്ടായി ഓണാക്കിയാൽ, അടിഞ്ഞുകൂടിയ കാർബൺ മോണോക്‌സൈഡിൽ നിന്ന് അവർ ശ്വാസം മുട്ടിക്കും. അതിനാൽ നിങ്ങൾക്ക് ഒരു CO സിസ്റ്റവും ഘടിപ്പിച്ച ഗാരേജും ഉണ്ടെങ്കിൽ, നിങ്ങൾക്ക് തീർച്ചയായും കാർബൺ മോണോക്സൈഡ് ഡിറ്റക്ടറുകൾ ഉണ്ടായിരിക്കണം.

നിങ്ങൾ DS സിസ്റ്റങ്ങൾ ഉപയോഗിക്കുകയാണെങ്കിൽ, നിങ്ങളുടെ കാറിന്റെ എഞ്ചിൻ എവിടെയാണെന്ന് കൃത്യമായി അറിയാതെ ഒരിക്കലും അത് ആരംഭിക്കാൻ ശ്രമിക്കരുത്, കാരണം അനന്തരഫലങ്ങൾ വിനാശകരമായിരിക്കും.

MyCar ഉപകരണത്തിന്, അതിൽ നിന്ന് രണ്ട് വയറുകളുള്ള ഒരു ചെറിയ ബ്ലാക്ക് ബോക്സിൽ 8 പോർട്ടുകളുണ്ട്, അവയിൽ രണ്ടെണ്ണം ഡീബഗ്ഗർ ഇന്റർഫേസിനായി സമർപ്പിച്ചിരിക്കുന്നു. ഈ ഇന്റർഫേസിലേക്ക് കണക്റ്റുചെയ്യുന്നത് ഉപകരണം ലിനക്സ് പ്രവർത്തിപ്പിക്കുന്നുവെന്ന് കാണിച്ചു, അത് നിർമ്മാതാവ് നിശബ്ദമാണ്. Oelinux 123 പാസ്‌വേഡ് ഉപയോഗിച്ച് ഫേംവെയർ ഷെല്ലിലേക്ക് പ്രവേശിക്കുന്നത് എളുപ്പമാണ്, എന്നാൽ നിങ്ങൾക്ക് ലോഗിൻ ചെയ്യാതെ തന്നെ AE എഞ്ചിൻ ഉപയോഗിക്കാം, ഇത് കമാൻഡ് ലൈനിൽ നിന്ന് AT കമാൻഡുകൾ നൽകാൻ നിങ്ങളെ അനുവദിക്കുന്നു, ഉപകരണത്തിന്റെ IP വിലാസം മാറ്റുന്നതിനുള്ള കമാൻഡ് ഉൾപ്പെടെ. ഈ മൊഡ്യൂൾ ആശയവിനിമയം നടത്തുന്നു.

ചുവടെയുള്ള വരികൾ നോക്കുകയാണെങ്കിൽ, MyCar മൊഡ്യൂളിന് ഫേംവെയർ അപ്‌ഡേറ്റുകൾ ലഭിക്കുന്ന സെർവറിന്റെ IP വിലാസം നമുക്ക് കാണാൻ കഴിയും. ഉപകരണം ഒരു എൽ-പോർട്ട് കൊണ്ട് സജ്ജീകരിച്ചിരിക്കുന്നു, ഇത് മൊഡ്യൂളിന് ലഭിക്കുന്ന കമാൻഡുകൾ "കേൾക്കാൻ" നിങ്ങളെ അനുവദിക്കുന്നു. AE എഞ്ചിൻ ഉപയോഗിക്കുന്നതിലൂടെയും ജോടിയാക്കിയ ഉപകരണത്തിന്റെ IP മാറ്റുന്നതിലൂടെയും, എൻക്രിപ്റ്റ് ചെയ്യാത്ത UDP പ്രോട്ടോക്കോൾ ഉപയോഗിച്ചാണ് ഈ ഉപകരണം DS-മായി ആശയവിനിമയം നടത്തുന്നതെന്ന് എനിക്ക് നിർണ്ണയിക്കാൻ കഴിഞ്ഞു.

ഞാൻ ഇത് അധികം പരിശോധിച്ചിട്ടില്ല, പക്ഷേ ഇത് വളരെ പ്രധാനപ്പെട്ടതും രസകരവുമായ ഒരു വസ്തുതയാണെന്ന് ഞാൻ കരുതുന്നു. ഈ ഉപകരണത്തെക്കുറിച്ചുള്ള കൂടുതൽ വിവരങ്ങളിൽ നിങ്ങൾക്ക് താൽപ്പര്യമുണ്ടെങ്കിൽ, ഈ സ്ലൈഡ് നോക്കുക - ഇത് 3,3V യുടെ പവർ സപ്ലൈ വോൾട്ടേജ്, 115200 ബൗഡിന്റെ ഡാറ്റാ ട്രാൻസ്ഫർ നിരക്ക്, ഫേംവെയർ അപ്‌ഡേറ്റ് ചെയ്യുന്നതിനുള്ള സെർവർ വിലാസം, ഒരു റൂട്ട് പാസ്‌വേഡ്, ഒരു ലിങ്ക് എന്നിവ കാണിക്കുന്നു. ഉപയോക്തൃ മാനുവലിലേക്ക്.

ഉപകരണത്തിന് ഉയർന്ന വിതരണ വോൾട്ടേജുകൾ "സഹിക്കാൻ" കഴിയും.

ഞാൻ പറഞ്ഞതുപോലെ, ഇവിടെ നല്ല തണുപ്പാണ്. ഞാൻ ഈ സംവിധാനം എന്റെ കാമുകിക്ക് സമ്മാനിച്ച് ഏകദേശം ഒരു മാസത്തിന് ശേഷം, കാറിൽ നിന്ന് യൂണിറ്റ് എടുത്ത് നന്നായി ഓടിക്കാൻ ഞാൻ തീരുമാനിച്ചു. ഈ മാസം മുഴുവനും ഈ ഉപകരണത്തിന്റെ അപകടസാധ്യതയെക്കുറിച്ചുള്ള ചിന്തകൾ ഞാൻ തള്ളിക്കളയുകയായിരുന്നു എന്നതാണ് വസ്തുത. അടുത്ത ആഴ്‌ചയിൽ -30F° വരെ താപനില അവർ പ്രവചിച്ചു, അതിനാൽ എനിക്ക് തിടുക്കം കൂട്ടേണ്ടി വന്നു. ഞാൻ ഷെല്ലിലേക്ക് കണക്റ്റുചെയ്‌ത് അത് പ്രവർത്തനക്ഷമമാക്കി, പക്ഷേ എന്റെ വീട്ടിലെ ലാബിലെ സെല്ലുലാർ റിസപ്ഷൻ അത്ര നല്ലതല്ലാത്തതിനാൽ, മറ്റൊരു കമ്പ്യൂട്ടറിൽ ബോക്‌സ് ഉപയോഗിച്ച് പ്രവർത്തിക്കാൻ ഞാൻ തീരുമാനിച്ചു. ഞാൻ ഉപയോഗിക്കുന്ന FTDI യൂണിറ്റിന് ഒരു ചെറിയ ചരട് ഉണ്ട്, അതിനാൽ ഞാൻ നീളമുള്ള ഒന്ന് കണ്ടെത്തി, അത് DS യൂണിറ്റിലേക്ക് പ്ലഗ് ചെയ്തു, കമ്പ്യൂട്ടറിലേക്ക് പ്ലഗ് ചെയ്തു, ഞാൻ പവർ ഓൺ ചെയ്തപ്പോൾ തന്നെ എന്റെ യൂണിറ്റ് പുകവലിക്കാൻ തുടങ്ങി!

ഇതിൽ നിന്ന് പഠിക്കേണ്ട പാഠം ഇതാണ്: നിങ്ങൾ ഹാർഡ്‌വെയർ ഹാക്ക് ചെയ്യുകയാണെങ്കിൽ, ഒരു സ്പെയർ യൂണിറ്റ് തയ്യാറായിരിക്കുക! എന്റെ കാമുകി ഈ കഥയുടെ ധാർമ്മികത ഇപ്രകാരം പറഞ്ഞു: നിങ്ങളുടെ പ്രധാന അപരൻ ഒരു ഹാക്കറാണെങ്കിൽ, നിങ്ങളുടെ ക്രിസ്മസ് സമ്മാനങ്ങളുമായി കളിക്കാൻ അവനെ അനുവദിക്കരുത്! ഇനി നമുക്ക് സോഫ്‌റ്റ്‌വെയർ നോക്കാം, ഇവിടെ ഒന്നും പുകയില്ലെന്ന് ഞാൻ കരുതുന്നു.

ഞാൻ ഒരു മാൻ-ഇൻ-ദി-മിഡിൽ പ്രോക്‌സി ആരംഭിച്ചു, എന്റെ ഫോണിൽ SSL സ്ഥിരീകരണം പ്രവർത്തനരഹിതമാക്കി, ആപ്പ് ബാക്കെൻഡിലേക്ക് എന്ത് ട്രാഫിക്കാണ് അയച്ചതെന്ന് നിരീക്ഷിച്ചു. രജിസ്റ്റർ ചെയ്യുമ്പോൾ, സിസ്റ്റം എന്റെ ഇമെയിൽ വിലാസം എടുത്ത് വെബ് സേവനത്തിലേക്ക് അയച്ച് വിലാസം നിലവിലുള്ള അക്കൗണ്ടുമായി ബന്ധപ്പെടുത്തിയിട്ടുണ്ടെന്ന് ഉറപ്പാക്കാൻ ഞാൻ ശ്രദ്ധിച്ചു. ഞാൻ ഇതുവരെ ഒരു അക്കൗണ്ട് സൃഷ്‌ടിച്ചിട്ടില്ലാത്തതിനാൽ സിസ്റ്റം അടിസ്ഥാന പ്രാമാണീകരണം ഉപയോഗിച്ചുവെന്നത് രസകരമാണ്. ഈ വിവരം എന്തുചെയ്യണമെന്ന് എനിക്കറിയില്ല, അതിനാൽ ഞാൻ ഒരു നോട്ട്ബുക്കിൽ എഴുതി മുന്നോട്ട് നീങ്ങി. ഞാൻ എന്റെ അക്കൗണ്ട് സൃഷ്‌ടിച്ച് ലോഗിൻ ചെയ്‌തു, ലോഗിൻ ചെയ്യുമ്പോൾ ആപ്ലിക്കേഷൻ ആദ്യം ചെയ്യുന്നത് നിലവിലെ ഉപയോക്താവിനെ പരിശോധിക്കാൻ ഒരു വെബ് സേവനത്തെ വിളിക്കുക എന്നതാണ്. അതിനാൽ ഞാൻ മുമ്പ് കണ്ട ക്രെഡൻഷ്യലുകൾ ഉപയോഗിച്ച് ഈ വെബ്‌സെർവറിനെ വിളിച്ചു, അത് എന്റെ ഇമെയിൽ വിലാസം നിലവിലുണ്ടോ എന്ന് പരിശോധിക്കാൻ ഉപയോഗിച്ചു, പ്രതികരണമായി Mycar അഡ്മിൻ ആക്‌സസ് നൽകി.

ഇത് ഒരു യഥാർത്ഥ സിസ്റ്റം അഡ്‌മിനിസ്‌ട്രേറ്റർ അക്കൗണ്ടാണോ എന്ന് ഞാൻ സംശയിച്ചു, കാരണം ഉച്ചത്തിൽ ശബ്‌ദമുണ്ടായിട്ടും ഇതിന് കുറഞ്ഞ പ്രത്യേകാവകാശങ്ങളാണുള്ളത്. എല്ലാത്തിനുമുപരി, ഇതുപോലുള്ള ആളുകളെ നമുക്കെല്ലാവർക്കും അറിയാം.

അതിനാൽ, ഞാൻ മറ്റൊരു അഭ്യർത്ഥന സൃഷ്ടിക്കുന്നു - എഞ്ചിൻസ്റ്റാർട്ട് കമാൻഡ്, ഈ അക്കൗണ്ടിൽ നിന്ന് കാർ ആരംഭിക്കുന്നതിന്, “അയയ്‌ക്കുക” ക്ലിക്കുചെയ്യുക, പ്രതികരണമായി കമാൻഡ് സ്റ്റാറ്റസ് സ്വീകരിക്കുക - “200 ശരി”, ഏകദേശം മൂന്ന് സെക്കൻഡുകൾക്ക് ശേഷം എന്റെ കാർ നീങ്ങാൻ തുടങ്ങുന്നു.

ഇത് മാറുന്നത് പോലെ, Mycar അഡ്മിൻ അക്കൗണ്ട് തീർച്ചയായും മൊബൈൽ ആപ്പിലേക്ക് ഹാർഡ്കോഡ് ചെയ്ത ഒരു അഡ്മിൻ അക്കൗണ്ട് ആയിരുന്നു. എന്നാൽ അത് മാത്രമല്ല. മുമ്പത്തെ സ്ലൈഡുകളിലൊന്നിൽ നിങ്ങൾ API കീ പോലുള്ള ഒരു സംഗതി കണ്ടു. വീണ്ടും, എന്റെ വ്യാജ പ്രോക്സി സെർവർ ട്രാഫിക് നിരീക്ഷിക്കുന്നതിൽ നിന്ന്, ഒരു ഉപയോക്തൃനാമത്തിനും പാസ്‌വേഡിനും പകരം ഈ API കീകൾ ഉപയോഗിക്കാമെന്ന് ഞാൻ മനസ്സിലാക്കി. നിങ്ങൾ ഉപയോക്തൃനാമമായും ഈ കീകളിൽ ഒന്നായും "API" ഉപയോഗിക്കുകയാണെങ്കിൽ, നിങ്ങൾക്ക് ഉപയോക്താവിനെ പ്രാമാണീകരിക്കാൻ കഴിയും.

അതിനാൽ ഞാൻ "APIKey" ലൈനിലെ ഉള്ളടക്കങ്ങൾ പകർത്തി, അത് POST ആപ്ലിക്കേഷന്റെ പാസ്‌വേഡ് ലൈനിലേക്ക് ഒട്ടിച്ച് "അയയ്‌ക്കുക" ബട്ടൺ ക്ലിക്ക് ചെയ്തു.

എന്നിരുന്നാലും, അത് പ്രവർത്തിച്ചില്ല, എന്തുകൊണ്ടെന്ന് എനിക്ക് 5 മിനിറ്റ് നേരത്തേക്ക് മനസ്സിലാക്കാൻ കഴിഞ്ഞില്ല. അവസാനം, പകർത്തിയ API കീയിലെ ഉദ്ധരണികളും കോമയും നീക്കം ചെയ്യാൻ ഞാൻ മറന്നുപോയി, അതാണ് എന്നോട് പറഞ്ഞത്: "നിങ്ങൾ SQL വാക്യഘടനയിൽ ഒരു തെറ്റ് ചെയ്തു." മുഴുവൻ ലോഗിൻ പ്രക്രിയയും മറികടന്ന് ഒരു അഡ്മിനിസ്ട്രേറ്ററോ നിങ്ങൾ ആഗ്രഹിക്കുന്ന ഏതെങ്കിലും ഉപയോക്താവോ ആകുന്നതിന് നിങ്ങൾക്ക് ഒരു അടിസ്ഥാന SQL കുത്തിവയ്പ്പ് ഉപയോഗിക്കാമെന്ന് എനിക്ക് വ്യക്തമായി. എസ്‌ക്യുഎൽ ഇഞ്ചക്ഷൻ ഉപയോഗിച്ച് ആരും കാർ മോഷ്ടിക്കാൻ ശ്രമിച്ചതായി എനിക്ക് തോന്നുന്നില്ല, അതിനാൽ നമുക്ക് ഇത് പരീക്ഷിക്കാം.

പൊതുവേ, ഞാൻ എന്റെ അക്കൗണ്ടിൽ ലോഗിൻ ചെയ്തു, "അയയ്‌ക്കുക" ക്ലിക്കുചെയ്‌ത് പ്രതികരണമായി "200 ശരി" ​​എന്ന സ്റ്റാറ്റസ് ലഭിച്ചു. ഇത്തവണ ഒരു വീഡിയോ റെക്കോർഡ് ചെയ്യാമെന്ന് കരുതി. രാത്രി ഏറെ വൈകി ഓഫീസ് ജനാലയിൽ നിന്ന് ചിത്രീകരിച്ചതിനാൽ നേരം അൽപ്പം ഇരുട്ടാണ്. അതിനാൽ, ഞാൻ കമാൻഡ് നൽകുന്നു, താഴെയുള്ള മുറ്റത്ത് കാറിന്റെ ഹെഡ്ലൈറ്റുകൾ മിന്നുന്നത് നിങ്ങൾ വിൻഡോയിലൂടെ കാണുന്നു. ആദ്യം അവരുടെ പ്രകാശം ദുർബലമാണ്, പക്ഷേ ഹെഡ്ലൈറ്റുകൾ പൂർണ്ണ ശക്തിയിൽ തിളങ്ങാൻ തുടങ്ങുന്നു - ഇതാണ് എഞ്ചിൻ ഓണാക്കുന്നത്. അതിനാൽ, ഞാൻ SQL ഇൻജക്ഷൻ ഉപയോഗിച്ച് കാർ ആരംഭിച്ചു (പ്രേക്ഷകരുടെ കരഘോഷം).

എന്നാൽ അത് മാത്രമല്ല. അംഗീകാരത്തിനായി മാത്രമല്ല, URL, ക്വറി സ്ട്രിംഗ് ബോഡി പാരാമീറ്ററുകൾ മുതലായവ പോലുള്ള മറ്റ് പാരാമീറ്ററുകൾ മാറ്റിസ്ഥാപിക്കുന്നതിനും SQL ഇൻജക്ഷൻ ഉപയോഗിക്കാം. വാസ്തവത്തിൽ, ഈ സിസ്റ്റം എല്ലായിടത്തും SQL കുത്തിവയ്പ്പുകൾ ഉപയോഗിക്കുന്നു. എറർ മെസേജുകൾ നോക്കുമ്പോൾ, നമ്മൾ പാസ്സ്‌വേർഡ് ആയി നൽകുന്നത് ഡാറ്റാബേസിലെ പാസ്‌വേഡ് കോളവുമായി നേരിട്ട് താരതമ്യം ചെയ്യുന്നത് കാണാം.

ഇതിനർത്ഥം അവർ SQL ഇൻജക്ഷനിൽ പ്ലെയിൻ ടെക്സ്റ്റ് പാസ്‌വേഡുകൾ ഉപയോഗിക്കുന്നു എന്നാണ്. അവർ പറയുന്നതുപോലെ, "ഇത് ഒട്ടും നല്ലതല്ല, വളരെ മോശമാണ്!" എന്നാൽ SQL-നെ കുറിച്ച് മതി, നിങ്ങളുടെ കാർ വിദൂരമായി സ്റ്റാർട്ട് ചെയ്യാൻ മറ്റെന്താണ് ചെയ്യേണ്ടതെന്ന് നോക്കാം. നിങ്ങൾ "EngineStart" കമാൻഡ് അയയ്‌ക്കുക, പ്രതികരണമായി നിങ്ങൾക്ക് ഈ കമാൻഡിന്റെ ഐഡന്റിഫയറിനെ പ്രതിനിധീകരിക്കുന്ന ഒരു ഇന്റിജർ ഐഡന്റിഫയർ ലഭിക്കും, ഈ സാഹചര്യത്തിൽ ഇത് ID = 3 ആണ്. ഐഡന്റിഫയർ അറിയുന്നതിലൂടെ, ഇതിന്റെ സ്റ്റാറ്റസ് റിപ്പോർട്ടുചെയ്യുന്ന ഒരു സേവനം നിങ്ങൾക്ക് "പുൾ" ചെയ്യാൻ കഴിയും. കമാൻഡ്.

അതിനാൽ ഐഡി മൂല്യം കൂട്ടുകയോ കുറയ്ക്കുകയോ ചെയ്യുന്നതിലൂടെ, ആ സിസ്റ്റത്തിൽ ഇതുവരെ അയച്ചിട്ടുള്ള ഏതൊരു കമാൻഡിന്റെയും സ്റ്റാറ്റസ് ഞാൻ "വലിക്കുന്നു".

ഇതിനെക്കുറിച്ച് പ്രത്യേകിച്ച് രസകരമായ ഒന്നുമില്ല, എന്നിരുന്നാലും, എന്റെ കാർ സ്റ്റാർട്ട് ചെയ്യാൻ എനിക്ക് ഉപയോഗിക്കാവുന്ന ഒരു വസ്തുവിനെ കുറിച്ച് ഇവിടെ നേരിട്ട് പരാമർശമുണ്ടോ എന്ന് ഞാൻ അത്ഭുതപ്പെടുന്നു. അതിനാൽ ഞാൻ എന്റെ അക്കൗണ്ടിൽ നിന്ന് ഒരു നിയമാനുസൃത ഉപയോക്താവായി "EngineStart" കമാൻഡ് പ്രവർത്തിപ്പിച്ചു, തുടർന്ന് മറ്റൊരു ഉപയോക്താവിന്റെ അക്കൗണ്ടിലൂടെ വിളിക്കാൻ ശ്രമിച്ചു, അത് സിസ്റ്റത്തിലേക്ക് ആക്‌സസ് ഉണ്ടാകരുത്. പ്രതികരണമായി, എനിക്ക് ഒരു പിശക് സന്ദേശം ലഭിച്ചു: "ഈ അക്കൗണ്ട് ശ്രേണിയുടെ പശ്ചാത്തലത്തിലല്ല." അതിനാൽ ഈ ഹാക്ക് പ്രവർത്തിക്കില്ലായിരിക്കാം. എന്നിരുന്നാലും, നിങ്ങൾ ഈ API നോക്കുകയാണെങ്കിൽ, അത് വിവരങ്ങൾ തനിപ്പകർപ്പാക്കുന്നതായി നിങ്ങൾ കാണും - ഉപയോക്താവിന്റെ ഇമെയിൽ വിലാസം അവരുടെ അക്കൗണ്ട് ഐഡിയിലേക്ക് മാപ്പ് ചെയ്തിരിക്കുന്നു.

നിങ്ങൾ ഒരു API വികസിപ്പിക്കുകയോ ഒരു API ഹാക്ക് ചെയ്യുകയോ ചെയ്യുകയാണെങ്കിലോ, ഈ URL-ൽ ഞങ്ങൾ കാണുന്ന വിവരങ്ങളുടെ തനിപ്പകർപ്പ് പിശകുകളുടെ ഉറവിടമാകാം. ഈ സാഹചര്യത്തിൽ, API ബഗുകൾക്ക് നാല് വ്യത്യസ്ത രീതികളിൽ സ്വയം പ്രത്യക്ഷപ്പെടാൻ കഴിയും.

ചുവപ്പ് നിറത്തിൽ പറഞ്ഞിരിക്കുന്ന കേസുകൾ 2, 3 എന്നിവ നിങ്ങൾ നോക്കുകയാണെങ്കിൽ, ഒബ്ജക്റ്റിന്റെ നേരിട്ടുള്ള റഫറൻസുകൾ നിങ്ങൾക്ക് കാണാൻ കഴിയും. രണ്ട് സാഹചര്യങ്ങളിലും, കമാൻഡ് എക്സിക്യൂട്ട് ചെയ്യാൻ നിങ്ങൾക്ക് അധികാരമുണ്ടോ എന്ന് സിസ്റ്റം പരിശോധിക്കുന്നില്ല. ഞാൻ കേസ് 2 പരീക്ഷിച്ചു, അത് പ്രവർത്തിച്ചില്ല, കേസ് 3 ന്റെ കാര്യമോ? ACCOUNT_ID അക്കൗണ്ട് ഐഡിയുമായി നേരിട്ട് ബന്ധപ്പെട്ടിരിക്കുന്നതിനാൽ URL-ലെ USER_EMAIL അക്കൗണ്ട് ഐഡി ഞങ്ങൾ ഇവിടെ മാറ്റിസ്ഥാപിക്കേണ്ടതുണ്ട്. മുമ്പ് ഞങ്ങൾ ഇരയുടെ അക്കൗണ്ട് ഐഡി ഉപയോഗിച്ചിരുന്നു, എന്നാൽ ഇപ്പോൾ ഞങ്ങൾ ആക്രമണകാരിയുടെ അക്കൗണ്ട് ഉപയോഗിക്കുന്നു. അതിനാൽ ഞാൻ ഹാക്കറുടെ അക്കൗണ്ട് ഐഡിയും ഇരയുടെ ഉപകരണ ഐഡിയും ഉപയോഗിച്ചു, കമാൻഡ് അയച്ചു, പ്രതീക്ഷിക്കുന്ന ഒരു "200 OK" കമാൻഡ് സ്റ്റാറ്റസ് ലഭിക്കുകയും MyCar ആപ്പിന്റെ നിയന്ത്രണം നേടുകയും ചെയ്തു.
അതിനാൽ, മൂന്ന് വ്യത്യസ്ത ആക്രമണ വെക്‌ടറുകൾ ഉപയോഗിച്ച്, ആപ്ലിക്കേഷന്റെ നിയമാനുസൃതമായ ഉപയോക്താവിന് ചെയ്യാൻ കഴിയുന്നതെല്ലാം ഞങ്ങൾക്ക് ചെയ്യാൻ കഴിഞ്ഞു. ഇതിനർത്ഥം നിങ്ങൾക്ക് നഗരത്തിലെ ഏത് കാറും കണ്ടെത്താനും ആപ്ലിക്കേഷനിൽ അതിന്റെ നിർമ്മാണവും മോഡലും സജ്ജമാക്കാനും തുടർന്ന് വിദൂരമായി കാർ അൺലോക്ക് ചെയ്‌ത് അത് ആരംഭിക്കാനും കഴിയും. നമുക്ക് അലാറം ഓഫാക്കുകയോ ഓണാക്കുകയോ ചെയ്യാം, കാറിന്റെ സേവന മെനുവിൽ മാറ്റങ്ങൾ വരുത്തുകയും ഏതെങ്കിലും കമാൻഡിന്റെ നില പരിശോധിക്കുകയും ചെയ്യാം. കൂടാതെ, ഇതെല്ലാം മൂന്ന് വ്യത്യസ്ത രീതികളിൽ ചെയ്യാം.

MyCar ഡവലപ്പർമാർ എങ്ങനെയെങ്കിലും സിസ്റ്റം ബഗുകൾ പരിഹരിക്കാൻ ശ്രമിച്ചുവെന്നത് വ്യക്തമാണ്. അതിനാൽ, ഹാർഡ്‌കോഡ് ചെയ്‌ത പാസ്‌വേഡുകളുടെ കാര്യത്തിൽ, അംഗീകാരത്തിനായി ഉപയോഗിക്കുന്ന ക്രെഡൻഷ്യലുകൾ മറയ്‌ക്കുന്നതിന് അവർ ആപ്ലിക്കേഷന്റെ മുന്നിൽ ഒരു റിവേഴ്‌സ് പ്രോക്‌സി ഇടുന്നു. റിവേഴ്സ് പ്രോക്സികൾ മാന്ത്രികമല്ല, എല്ലാ പ്രശ്നങ്ങളും പരിഹരിക്കാൻ കഴിയില്ല എന്നതാണ് പ്രശ്നം. അവർ ഒരു മൂന്നാം കക്ഷി സേവനത്തിൽ SQL ഇൻജക്ഷൻ സംഭരിച്ചു, അതിലൂടെ ഒരു പാസ്‌വേഡ് ഇല്ലാതെ പോലും എനിക്ക് ഉപയോക്തൃ പരിശോധനാ നടപടിക്രമത്തിലൂടെ അത് ഉപയോഗിക്കാൻ കഴിയും.

URL ഘടനയെ സൂക്ഷ്മമായി പരിശോധിക്കാൻ ഞാൻ തീരുമാനിച്ചു. സിസ്റ്റം ഉപയോഗിക്കുന്ന എല്ലാ വിലാസങ്ങളിലും m2m അടങ്ങിയിരിക്കുന്നത് നിങ്ങൾ ശ്രദ്ധിച്ചിരിക്കാം. MyCar ആപ്പിലെ അംഗീകൃത സംവിധാനത്തിനായുള്ള ചില തരത്തിലുള്ള ആന്തരിക ഇടപെടലാണ് ഇതെന്ന് തീരുമാനിച്ച്, ഞാൻ ഈ അക്ഷരങ്ങൾ Google-ൽ നൽകുകയും M2M Suite വെബ്സൈറ്റ് കണ്ടെത്തുകയും ചെയ്തു. ഈ ഫോം കാണുമ്പോൾ നിങ്ങൾക്ക് ചെയ്യാൻ കഴിയുന്ന ഒരേയൊരു കാര്യം, അവിടെ രണ്ട് ഒറ്റ ഉദ്ധരണികൾ ഇടുകയും എന്താണ് സംഭവിക്കുന്നതെന്ന് കാണുക. എന്താണ് സംഭവിക്കുക, നിങ്ങൾക്ക് ആവശ്യമുള്ള SQL കുത്തിവയ്പ്പ് ലഭിക്കും (പ്രേക്ഷകരുടെ കരഘോഷം).

ഡെവലപ്പർമാർ SQL കുത്തിവയ്പ്പിൽ ഒരു പ്രശ്നം റിപ്പോർട്ട് ചെയ്തതിന് ഏതാനും മാസങ്ങൾക്ക് ശേഷമാണ് ഇത് വരുന്നത്. ഒരു ആപ്പിന് ഇതുപോലുള്ള പ്രശ്‌നങ്ങളുണ്ടെങ്കിൽ, അത് എത്രയും വേഗം പരിഹരിക്കേണ്ടതുണ്ട്, എന്നാൽ നിങ്ങൾക്ക് കാണാനാകുന്നതുപോലെ, ഡവലപ്പർമാർ ഒന്നും ചെയ്തിട്ടില്ല. ഉപയോക്താക്കളോടുള്ള ഇത്തരത്തിലുള്ള അവഗണന കുറ്റകരമാണെന്ന് ഞാൻ കാണുന്നു.

MyCar മൊഡ്യൂളിന് ഒരു GPS യൂണിറ്റ് ഉള്ളതിനാൽ അതിന് നിങ്ങളുടെ കാറിന്റെ ലൊക്കേഷൻ ട്രാക്ക് ചെയ്യാനും അത് ആപ്ലിക്കേഷനിൽ പ്രദർശിപ്പിക്കാനും കഴിയും. പക്ഷേ, അത് മാറിയതുപോലെ, അവർ കാറുകളുടെ നിലവിലെ സ്ഥാനം മാത്രമല്ല സംഭരിക്കുന്നത്. കാറിന്റെ നിലവിലെ ലൊക്കേഷൻ ട്രാക്ക് ചെയ്യാൻ ആവശ്യമായതിനേക്കാൾ വളരെയധികം വിവരങ്ങൾ അവർ സംഭരിക്കുന്നു. എന്റെ കാര്യത്തിൽ, ആപ്ലിക്കേഷൻ ഉപയോഗിച്ച് 13 ദിവസത്തിലധികം, എന്റെ കാർ സന്ദർശിച്ച സ്ഥലങ്ങളുടെ രണ്ടായിരത്തിൽ താഴെ ജിയോലൊക്കേഷൻ പോയിന്റുകൾ അവർ ശേഖരിച്ചു. MyCar ഡവലപ്പർ കമ്പനിയുടെ സ്വകാര്യതാ നയം അത്തരം വിവര ശേഖരണത്തെക്കുറിച്ച് ഒരക്ഷരം പറയുന്നില്ല.

എന്നിരുന്നാലും, ഇത് കൂടുതൽ വഷളാകുന്നു. ഇത് ലൊക്കേഷൻ സേവനം നടപ്പിലാക്കുന്നതിന്റെ ഒരു പാർശ്വഫലം മാത്രമാണെന്ന് നിങ്ങൾക്ക് വാദിക്കാം. എന്നാൽ കാര്യം, നിങ്ങളുടെ കാർ പോകുന്ന സ്ഥലങ്ങളുടെ ഒരു ലിസ്റ്റ് സൃഷ്‌ടിക്കുന്നതിനുപകരം, ആ ഡാറ്റ വിശകലനം ചെയ്യുകയും നിങ്ങളുടെ കാർ മിക്കപ്പോഴും പോകുന്ന സ്ഥലങ്ങൾ നിർണ്ണയിക്കുകയും ചെയ്യുന്ന മറ്റൊരു API അവർ ഉപയോഗിക്കുന്നു. വീണ്ടും, എന്റെ അറിവിൽ, സ്വകാര്യതാ നയത്തിൽ അത്തരമൊരു സവിശേഷതയെക്കുറിച്ച് ഒരു സൂചനയും ഇല്ല. ഒരുപക്ഷേ ഇത് അത്ര ആശ്ചര്യകരമല്ല, കാരണം ഒരു ടൺ തിരച്ചിലിന് ശേഷം, MyCar-ന്റെ മാതൃ കമ്പനിയായ Procon Analytics ഞാൻ കണ്ടെത്തി, അവരുടെ വെബ്‌സൈറ്റിൽ പോയി FAQ വിഭാഗം സന്ദർശിച്ചു. ഇവിടെ ഞാൻ ചോദ്യം കണ്ടു: "നിങ്ങൾ എങ്ങനെയാണ് ഡാറ്റ സുരക്ഷ ഉറപ്പാക്കുന്നത്?" കമ്പനിയുടെ പ്രതികരണം ഇതായിരുന്നു: “ഡാറ്റാ സ്റ്റോറേജിൽ മുൻഗണനയ്ക്കായി മത്സരിക്കുന്ന പൊതു ക്ലൗഡുകളിൽ നിന്ന് വ്യത്യസ്തമായി, Procon Analytics സ്വന്തം വെർച്വൽ ക്ലൗഡ് ഉപയോഗിക്കുന്നു, ഇത് ഞങ്ങളുടെ ആപ്ലിക്കേഷന്റെ ഉപയോക്താക്കൾക്ക് മാത്രമായി ഉപയോഗിക്കുകയും മറ്റ് ഉപയോക്താക്കളുടെ ഇടപെടലിൽ നിന്ന് പരിരക്ഷിക്കുകയും ചെയ്യുന്നു. ഉയർന്ന സുരക്ഷയുള്ള ഒരു പ്രത്യേക ക്ലൗഡ് പരിതസ്ഥിതിയാണിത്, ഇത് സേവന വിതരണത്തിന്റെ എളുപ്പവും വേഗതയും ഉറപ്പാക്കുന്നു. Procon Analytics-മായി സഹകരിക്കുന്നതിലൂടെ, നിങ്ങളുടെ ഡാറ്റ സുരക്ഷിതമായി സംരക്ഷിക്കപ്പെട്ടിട്ടുണ്ടെന്ന് നിങ്ങൾക്ക് ഉറപ്പിക്കാം. ഇതിന് എന്ത് പറയണം എന്ന് പോലും എനിക്കറിയില്ല...

നിങ്ങൾ അവരുടെ ഫേസ്ബുക്ക് പേജിൽ പോയാൽ, കൂടുതൽ രസകരമായ കാര്യങ്ങൾ നിങ്ങൾക്ക് കണ്ടെത്താനാകും. ഇവിടെ അവർ ലളിതമായി എഴുതുന്നു: "നിങ്ങളുടെ വാഹനത്തെക്കുറിച്ചുള്ള വിവരങ്ങൾ സംരക്ഷിക്കുന്നത് അത്യന്താപേക്ഷിതമാണ്!" ശരി, ഈ പ്രസ്താവനയോട് മാത്രമേ എനിക്ക് യോജിക്കാൻ കഴിയൂ.

അതിനാൽ, ഞാൻ ആരംഭിച്ച ചോദ്യത്തിലേക്ക് മടങ്ങുക: "ഇത് എങ്ങനെ സംഭവിക്കുന്നു, ഇത് എങ്ങനെ ഒഴിവാക്കാം"? അതിലും പ്രധാനമായി, ഒരു സമൂഹമെന്ന നിലയിൽ ഇത് സംഭവിക്കുന്നത് എങ്ങനെ തടയാം?

ഇത് എന്റെ റിപ്പോർട്ട് അവസാനിപ്പിക്കുന്നു, പക്ഷേ എനിക്ക് ഇപ്പോഴും രണ്ട് ചോദ്യങ്ങൾക്ക് ഉത്തരം നൽകാൻ കഴിയും (പ്രേക്ഷകരുടെ കരഘോഷം).

അവർ എല്ലാം ശരിയാക്കിയോ എന്ന് നിങ്ങൾ ചോദിക്കുന്നുണ്ടോ? ഈ ഘട്ടത്തിൽ, സംഭാഷണത്തിന്റെ അവസാനം ഞാൻ സൂചിപ്പിച്ച സ്വകാര്യതാ നയത്തിലെ പിഴവുകൾ ഒഴികെ, ഞാൻ അവർക്ക് റിപ്പോർട്ട് ചെയ്ത എല്ലാ ബഗുകളും അവർ പരിഹരിച്ചുവെന്ന് ഞാൻ കരുതുന്നു. അവസാനമായി ഞാൻ പരിശോധിച്ചപ്പോൾ എല്ലാം മാറ്റമില്ലായിരുന്നു. കാറിന്റെ ഇലക്ട്രോണിക് എഞ്ചിൻ കൺട്രോൾ യൂണിറ്റിന്റെ (ഇസിയു) പാരാമീറ്ററുകൾ സമാനമായ രീതിയിൽ എഡിറ്റ് ചെയ്യാൻ കഴിയുമോ എന്ന് ചോദിച്ചാൽ, MyCar ആപ്ലിക്കേഷനിൽ മാത്രം കാറിന്റെ പാരാമീറ്ററുകൾ എഡിറ്റുചെയ്യുക എന്നതായിരുന്നു എന്റെ ചുമതലയെന്ന് ഞാൻ ഉത്തരം നൽകും. നേരിട്ടുള്ള ഒബ്‌ജക്റ്റ് ആക്‌സസ്, SQL ഇൻജക്ഷൻ അല്ലെങ്കിൽ മറ്റ് ആക്രമണ വെക്‌റ്റർ എന്നിവയിലൂടെ എഡിറ്റ് ചെയ്‌ത വാഹനത്തിന്റെ ഡിജിറ്റൽ പ്രാതിനിധ്യം ഇത് സംഭരിക്കുന്നു.

അവസാന ചോദ്യം ഇതാണ്: "ആരംഭിക്കുക" ബട്ടൺ ഉപയോഗിച്ച് എന്റെ കാറിൽ ഒരു കീലെസ്സ് എഞ്ചിൻ സ്റ്റാർട്ട് സിസ്റ്റം ഉണ്ടോ, ഈ കേസിൽ സ്റ്റിയറിംഗ് വീൽ ലോക്കിന്റെ അവസ്ഥ എന്താണ്? MyCar-ൽ അത്തരമൊരു ബട്ടൺ ഉണ്ട്, അതിനാൽ ഈ സിസ്റ്റത്തിന് സ്റ്റിയറിംഗ് വീൽ ലോക്ക് ഇല്ല എന്നതാണ് എന്റെ ഉത്തരം. നിങ്ങൾ ഈ സിസ്റ്റം ഇൻസ്റ്റാൾ ചെയ്താൽ, നിങ്ങൾക്ക് തീർച്ചയായും സ്റ്റിയറിംഗ് വീൽ ലോക്കിനെ ആശ്രയിക്കാൻ കഴിയില്ലെന്ന് ഞാൻ സംശയിക്കുന്നു.

ചില പരസ്യങ്ങൾ 🙂

ഞങ്ങളോടൊപ്പം താമസിച്ചതിന് നന്ദി. ഞങ്ങളുടെ ലേഖനങ്ങൾ നിങ്ങൾക്ക് ഇഷ്ടമാണോ? കൂടുതൽ രസകരമായ ഉള്ളടക്കം കാണാൻ ആഗ്രഹിക്കുന്നുണ്ടോ? ഒരു ഓർഡർ നൽകി അല്ലെങ്കിൽ സുഹൃത്തുക്കൾക്ക് ശുപാർശ ചെയ്തുകൊണ്ട് ഞങ്ങളെ പിന്തുണയ്ക്കുക, $4.99 മുതൽ ഡെവലപ്പർമാർക്കുള്ള ക്ലൗഡ് VPS, എൻട്രി ലെവൽ സെർവറുകളുടെ ഒരു അദ്വിതീയ അനലോഗ്, നിങ്ങൾക്കായി ഞങ്ങൾ കണ്ടുപിടിച്ചതാണ്: VPS (KVM) E5-2697 v3 (6 കോറുകൾ) 10GB DDR4 480GB SSD 1Gbps-നെക്കുറിച്ചുള്ള മുഴുവൻ സത്യവും $19 മുതൽ അല്ലെങ്കിൽ എങ്ങനെ ഒരു സെർവർ പങ്കിടാം? (RAID1, RAID10 എന്നിവയ്‌ക്കൊപ്പം 24 കോറുകൾ വരെയും 40GB DDR4 വരെയും ലഭ്യമാണ്).

ആംസ്റ്റർഡാമിലെ Equinix Tier IV ഡാറ്റാ സെന്ററിൽ Dell R730xd 2 മടങ്ങ് വിലക്കുറവാണോ? ഇവിടെ മാത്രം 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 TV $199 മുതൽ നെതർലാൻഡിൽ! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - $99 മുതൽ! കുറിച്ച് വായിക്കുക ഇൻഫ്രാസ്ട്രക്ചർ കോർപ്പറേഷൻ എങ്ങനെ നിർമ്മിക്കാം. ഒരു പൈസയ്ക്ക് 730 യൂറോ വിലയുള്ള Dell R5xd E2650-4 v9000 സെർവറുകൾ ഉപയോഗിക്കുന്ന ക്ലാസ്?

അവലംബം: www.habr.com